Valse orderbevestigingsmails: echt of oplichting? Zo herken je het

Er belandt een e-mail in je inbox: "Je bestelling is verzonden!" — maar je herinnert je niet dat je iets hebt besteld. Of je hebt wél iets besteld, en nu vraagt een bericht je om "betaalgegevens te bevestigen" voordat het bezorgd kan worden. Valse orderbevestigingen zijn een van de meest voorkomende phishingtrucs omdat ze inspelen op twee sterke reacties: de zorg dat iemand je kaart heeft belast, en de opwinding van een pakket dat onderweg is.

Het goede nieuws: deze e-mails verraden zichzelf bijna altijd als je weet waar je moet kijken. Zo onderscheid je een echte bevestiging van oplichting — zonder op iets gevaarlijks te klikken.

Waarom valse orderbevestigingen werken

Oplichters versturen deze e-mails om verschillende redenen:

• Phishing: de knop "Bestelling bekijken" of "Bestelling annuleren" leidt naar een valse inlogpagina die je Amazon-, PayPal- of bankgegevens steelt.
• Terugbeloplichting: de e-mail vermeldt een hoge afschrijving en een telefoonnummer om die te "betwisten". De persoon die opneemt praat je toegang op afstand tot je computer aan, of een "terugbetaling" die je rekening leegtrekt.
• Malware: de bijlage met de "factuur" of het "verzendlabel" installeert schadelijke software zodra je die opent.
• Kostenoplichting: een vals koeriersbericht zegt dat je pakket wordt vastgehouden totdat je een kleine "douane"- of "herbezorgings"-vergoeding betaalt — het echte doel is je kaartnummer.

In alle gevallen is de e-mail zelf de val. De bestelling bestaat niet, of het bericht komt niet van de winkel waar je daadwerkelijk hebt gekocht.

Zes controles die een valse bevestiging ontmaskeren

1. Bekijk het echte adres van de afzender

Tik of klik op de naam van de afzender om het volledige e-mailadres te tonen. Echte winkels versturen vanaf hun eigen domein — amazon.com, apple.com, ups.com. Oplichters gebruiken lookalikes (amazon-orders-support.net), gratis mailboxen (@gmail.com, @outlook.com) of willekeurige domeinen die niets met het merk te maken hebben. De weergavenaam zegt niets; alleen het deel na de @ telt.

2. Zoek naar je naam en echte bestelgegevens

Een echte bevestiging begroet je bij naam en vermeldt precies wat je hebt gekocht, de prijs en het verzendadres dat je hebt ingevoerd. Valse berichten zeggen "Beste klant", tonen vage artikelen ("Bestelling #8837-XZ, 1 artikel") of noemen een product dat je nooit hebt aangeraakt. Ontbrekende of algemene details zijn een sterk alarmsignaal.

3. Beweeg over elke link voordat je klikt

Beweeg op een computer je muis over de knop of link en lees de bestemming in de hoek van je scherm; houd op een telefoon de link ingedrukt om een voorbeeld te zien. Als "Volg je pakket" naar een verkorte URL of een onbekend domein verwijst in plaats van naar de website van de winkel, is het phishing. Klik bij twijfel helemaal niet — in de volgende sectie staat een veiligere manier.

4. Controleer het trackingnummer zelf

Een echte verzend-e-mail bevat een trackingnummer dat je kunt verifiëren. Typ het handmatig in op de eigen site van de vervoerder — ups.com, fedex.com, usps.com, dhl.com — nooit via de link in de e-mail. Als het nummer niet bestaat, niet het formaat heeft dat die vervoerder gebruikt, of als de e-mail helemaal geen vervoerder noemt, beschouw het dan als vals.

5. Vergelijk het met je eigen administratie

Controleer de afschrijving aan de hand van je kaart- of bankafschrift en de bestelgeschiedenis van je account op de site van de winkel. Een beangstigende e-mail met "er is $499 bij je afgeschreven" zonder overeenkomstige transactie waar dan ook is bluf, bedoeld om je hun nummer te laten bellen of op hun link te laten klikken.

6. Let op druk en vreemde betaalverzoeken

Echte bestel-e-mails eisen geen dringende actie. Wees achterdochtig bij afteltimers, dreigementen om je account op te heffen, verzoeken om kaartgegevens "opnieuw in te voeren", of kosten die alleen betaald kunnen worden met een cadeaukaart, bankoverschrijving of crypto. Geen enkele legitieme koerier int kosten in cadeaukaarten — nooit.

De veiligste manier om te verifiëren: ga rechtstreeks

Verifieer een bestelling nooit via de e-mail zelf. Doe in plaats daarvan het volgende:

1. Open een nieuw browsertabblad en typ zelf het adres van de winkel in, of gebruik de officiële app.
2. Log in en open Je bestellingen (of het equivalent daarvan). Als de bestelling er niet staat, is de e-mail vals — verwijder hem.
3. Als je contact moet opnemen met de klantenservice, gebruik dan het telefoonnummer of de chat op de officiële website, nooit die in de e-mail.

Als de e-mail beweert afkomstig te zijn van een winkel waar je nog nooit van hebt gehoord, zoek de winkel dan eerst op via HasTrust voordat je erop ingaat — je ziet dan of de site gevestigd is en hoe andere shoppers hem beoordelen. Imitatie-e-mails doen zich het vaakst voor als grote namen zoals Amazon, PayPal en grote koeriersdiensten, juist omdat zoveel mensen daadwerkelijk een pakket van hen verwachten. En als je twijfelt over het bericht zelf, plak het dan in de HasTrust scam checker voor een snelle inschatting of het op een bekend oplichtingspatroon lijkt.

Wat te doen als je al hebt geklikt of betaald

Handel snel — snelheid beperkt de schade:

• Een wachtwoord ingevoerd? Wijzig het onmiddellijk op de echte site, en overal waar je het hebt hergebruikt, en schakel tweefactorauthenticatie in.
• Kaartgegevens ingevoerd? Bel je bank of kaartuitgever, meld de kaart als gecompromitteerd en vraag hen de kaart te blokkeren en eventuele afschrijvingen te betwisten.
• Een bijlage geopend? Verbreek de internetverbinding en voer een volledige virusscan uit voordat je ergens inlogt.
• Iemand toegang op afstand gegeven? Zet de computer uit, wijzig je wachtwoorden vanaf een ander apparaat en neem contact op met je bank.

Meld daarna de e-mail: stuur hem door naar [email protected], gebruik de knop "Phishing melden" in je mailapp en — in de VS — dien een melding in via reportfraud.ftc.gov. Amazon-imitaties kunnen naar [email protected].

De conclusie

Een echte orderbevestiging komt overeen met een aankoop die je hebt gedaan, komt van het eigen domein van de winkel, noemt jou en je artikelen bij naam en zet je nooit onder druk. Als een van die onderdelen ontbreekt, sla de links dan over, controleer je account rechtstreeks en verifieer de afzender voordat je iets anders doet. Dertig seconden controleren is beter dan weken fraude ongedaan maken.